🇰🇷 한글 설명
ApostropheCMS의 알림 모듈에서 인증 및 권한 검증 없이 PATCH 및 DELETE REST 엔드포인트가 노출되는 취약점이 발견되었습니다. 공격자가 유효한 알림 ID를 획득할 경우, 인증 없이 다른 사용자의 알림을 수정하거나 영구적으로 삭제할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인이 다른 사람의 알림 내용을 마음대로 바꾸거나 삭제할 수 있는 보안 결함입니다. 알림의 고유 번호만 알면 누구나 접근이 가능하여 데이터가 조작될 위험이 있습니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0, the notification module exposes PATCH and DELETE REST endpoints that perform operations directly on the underlying MongoDB collection without verifying that the requester is authenticated or owns the target notification. As a result, an unauthenticated attacker who obtains a valid notification ID can modify or permanently delete another user's notification. This issue is fixed in version 4.33.0.
📍 영향받는 시스템
ApostropheCMS 4.33.0 미만 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 특정 알림 ID를 대상으로 PATCH 또는 DELETE HTTP 요청을 전송
🛡️ 대응 방법
ApostropheCMS를 최신 버전인 4.33.0 이상으로 업데이트
🔧 검증 코드
명령어 결과에 버전이 출력되면 취약한 버전이 설치된 것이며, 아무 결과도 나오지 않으면 안전한 버전입니다.
npm list apostrophe-cms | grep -E 'apostrophe-cms@([0-4]\.[0-3][0-2]\.|[0-4]\.[3][0-2]\.)'